Analyse des Canaux Cachés

L'analyse des canaux cachés repère, mesure et limite les canaux cachés. Un canal caché est un chemin qui utilise des ressources partagées, le comportement d'un protocole ou le temps pour transférer des informations sans enfreindre aucune règle explicite. La question clé : des données peuvent-elles traverser ce système d'une façon que personne n'a conçue et que personne ne surveille ?

Le canal et son analyse sont deux choses différentes. Le canal est le phénomène : le chemin caché lui-même. L'analyse est la méthode appliquée à ce chemin. Elle recense les endroits où l'information pourrait fuir, estime la bande passante de chaque chemin et transmet les résultats à des corrections de conception ou à la supervision. Le canal est l'objet de l'étude. L'analyse, c'est l'étude elle-même.

La technique de référence est la Shared Resource Matrix, introduite par Richard Kemmerer en 1983. Elle repose sur une observation : un canal caché a besoin d'une ressource partagée, comme la mémoire, des blocs disque, du temps processeur, un verrou ou un champ d'en-tête, qu'un processus peut modifier et qu'un autre peut observer. La méthode vise surtout les canaux de stockage cachés, où un processus écrit une valeur et un autre la lit. Elle se déroule en quatre étapes :

1. 1

   Recensement des ressources

   Listez chaque ressource partagée entre des sujets de niveaux de confiance différents, avec ses attributs et les opérations que chaque sujet peut effectuer.

2. 2

   Paires modification et observation

   Pour chaque attribut, notez quels sujets peuvent le modifier et lesquels peuvent lire ou déduire le changement. C'est la condition préalable d'un canal de stockage.

3. 3

   Traçage des chemins

   Suivez les paires candidates qu'aucun mécanisme légitime de la conception ne médiatise, pour confirmer un flux réel.

4. 4

   Estimation de la bande passante

   Estimez le débit atteignable de chaque canal confirmé. Un canal qui fuit quelques bits par heure relève d'une note de documentation. Un canal qui transporte des kilo-octets est un défaut de conception à limiter.

Sur les réseaux en production, le travail passe des documents de conception au comportement observable. L'analyse du trafic examine les flux, le timing, les volumes et l'usage des protocoles, à la recherche de signes qu'un canal légitime transporte un sens caché. La détection d'anomalies ajoute une couche statistique : elle signale les écarts durables par rapport au trafic et à l'activité habituels des utilisateurs, selon la même logique que la détection des anomalies comportementales, appliquée au transfert de données. Les canaux cachés imitent le trafic légitime, si bien qu'un seul événement prouve rarement quoi que ce soit. Un motif persistant de volumes, de destinations et de plannings signale un chemin candidat. Signes typiques :

• Anomalies d'entropie : un caractère aléatoire du contenu ou des noms de domaine bien supérieur à ce que le protocole produit normalement.
• Régularité temporelle : des intervalles entre requêtes réguliers comme un métronome, alors que l'activité réelle de personnes ou d'applications serait irrégulière.
• Asymétrie de volume : des requêtes minimales auxquelles répondent des réponses volumineuses, ou des transferts au-delà de tout usage autorisé du canal.

Trois contextes reviennent le plus souvent dans la pratique. Dans les programmes de risque interne, l'enjeu est l'exfiltration de données par des canaux qui paraissent approuvés :

Anexet ne réalise pas d'analyse formelle des canaux cachés, mais sa console montre la moitié opérationnelle du travail. La page Politiques de sécurité liste les règles statistiques à côté des règles fondées sur les thésaurus et les empreintes, et compte les incidents par statut et par type de règle. Le panneau de statistiques réseau montre une brève rafale de paquets envoyés sur une base plate : c'est le type d'écart que les règles statistiques sont conçues pour repérer. Ces deux vues alimentent le flux de détection des menaces internes.

1 / 2

• 
• 

L'exhaustivité est hors d'atteinte. Savoir si un programme quelconque peut faire fuiter des informations est indécidable dans le cas général. Toute analyse réelle est donc bornée par les ressources recensées et les flux observés. Les objectifs honnêtes consistent à repérer les chemins à plus forte bande passante et à les ramener à un niveau acceptable par injection de bruit, limitation de débit ou segmentation. Chacune de ces mesures échange de la performance contre du secret. Les canaux cachés temporels sont les plus difficiles à borner, car leur signal réside dans le temps et non dans les données.

La discipline a deux moitiés. L'analyse formelle est un travail de conception sur les composants internes d'un système. La surveillance opérationnelle est un travail d'exécution sur le trafic et l'activité réels, à la recherche de données qui circulent par des chemins non autorisés. Peu d'organisations ont besoin de la première. Presque toutes bénéficient de la seconde, car chacune utilise des canaux comme le courriel, le web, le stockage cloud et les supports amovibles, qui peuvent être détournés.

Commencez par les données dont la fuite serait la plus dommageable, puis listez les canaux qu'elles utilisent réellement. Cette liste sert de base à la fois à la revue de conception et aux règles de surveillance.

Associez la revue de conception à la surveillance en exploitation, et donnez à chaque constat un responsable et une échéance. Un rapport que personne n'applique ne ferme aucun canal.

Pour aller plus loin : Fuite technique d'informations : de quoi s'agit-il et comment s'en protéger ?.